Kill switch v aplikácii verzus kill switch vo firewalle: čo blokuje ktorý

Kill switch v zozname funkcií vám nepovie takmer nič o tom, čo sa stane, keď tunel padne. Jedna implementácia zatvára vybrané procesy, druhá inštaluje filtre paketov na hranici operačného systému a tretia sa jednoducho snaží znova pripojiť. Rozdiel sa ukáže v sekundách po zlyhaní, nie na obrazovke nastavení. Prejdite tieto kontroly po poradí a zastavte sa pri prvej, na ktorú nedokážete úprimne odpovedať, pretože tam sa končí vaše skutočné pokrytie.

Najprv pomenujte mechanizmus vymáhania

Ukončovanie procesov je funkcia životného cyklu aplikácie. Nájde vybrané programy po zistenom zlyhaní tunela a zatvorí ich. Všetko, čo nie je hlavný proces, prežíva: pomocné služby, synchronizácia na pozadí a každá aplikácia spustená o sekundu neskôr majú vlastný životný cyklus a vlastné časovanie.

Filtrovanie paketov je funkcia operačného systému. Odmieta prevádzku, ktorá nejde povolenou cestou, čo je silnejší sľub, ale len v rozsahu, ktorý pravidlo skutočne pokrýva. Rozhoduje rodina adries, rozhranie, vylúčené aplikácie a výnimky, nie označenie v klientovi.

Prežije blokácia klienta?

Položte si štyri otázky v tomto poradí: čo sa stane pri páde, pri ručnom ukončení, pri odhlásení a pri reštarte. Pravidlo, ktoré udržiava sám klient, sa zvyčajne odstráni pri riadnom vypnutí a často zostane po páde. Pravidlo nainštalované do úložiska platformy sa môže správať opačne: prežiť klienta a niekedy aj odinštalovanie.

Ukončite klienta uprostred dlhého sťahovania a sledujte, či sa prenos zastaví alebo pokračuje.

Hľadajte štandardné diery

IPv6 je prvá. Pravidlo napísané pre adresy IPv4 necháva prevádzku IPv6 nedotknutú a mnohí klienti píšu len polovicu v4. Druhé je rozhranie: USB tethering, druhý Wi-Fi adaptér a mobilný modem nemusia byť zahrnuté v pravidle obmedzenom na primárne pripojenie. Vylúčené aplikácie a výnimky pre miestnu sieť sú tretie.

V systéme Windows môžete čítať nainštalované pravidlá namiesto spoliehania sa na prepínač: Get-NetFirewallRule -DisplayName '*VPN*' a netsh wfp show filters obe ukazujú, čo existuje. V systéme Linux iptables -S, ip6tables -S a nft list ruleset pokrývajú bežné prípady a porovnanie všetkých troch je pointa.

DNS je obvyklý únik

Blokovanie TCP pri otvorenom UDP 53 vám dá veľmi presvedčivý kill switch, ktorý stále odpovedá na každý dotaz na názov hostiteľa. To isté platí, keď sa DNS odovzdá resolveru na inom rozhraní, alebo keď klient blokuje len v4 a resolver je dostupný cez v6.

Pri spadnutom tuneli preložte jedno známe meno a pozrite sa, či sa vráti odpoveď. Ak áno, prevádzka nie je úplne blokovaná, nech ikona stavu hovorí čokoľvek.

Testujte prechod, nie prepínač

Vypnutie VPN z jeho vlastnej ponuky je riadne ukončenie a riadny prípad každá implementácia zvláda dobre. Prechod, na ktorom záleží, je ten hrubý: zabite proces tunela, vytiahnite sieť, nechajte server prestať odpovedať. Potom spustite požiadavku a sledujte, či zlyhá alebo potichu použije fyzické spojenie.

Výsledok z jedného notebooku sa neprenáša na telefón ani router. Iné API platforiem, iné predvolené hodnoty a na Androide je rozdiel ostrý: always-on s blokovaním vynucuje systém, nie klient, takže funguje ďalej, keď klient nie.Sprievodca VPN pre Android opisuje toto rozdelenie.

Nechajte si cestu späť

Blokovanie na úrovni systému má opačný režim zlyhania. Filtre, ktoré prežijú klienta, môžu po odinštalovaní nechať stroj úplne bez siete, čo je hovor na podporu bez zrejmej príčiny. Pred zapnutím akéhokoľvek kill switchu, ktorý zapisuje pravidlá platformy, poznamenajte si, ako sa odstraňuje, a majte cestu k oprave od dodávateľa tam, kde ju nájdete.

Ak pre svojho klienta nedokážete odpovedať na kontroly pádu, IPv6, DNS a prechodu, berte ho ako prepínač na úrovni aplikácie so známymi dierami a plánujte podľa toho.